CVE-2026-94609

Zusammenfassung

authentik ist ein Open-Source-Identity-Provider. Vor 2026.2.7, 2026.5.7 und 2026.8.2 kann ein Konto mit delegierter Berechtigung zur Verwaltung einer Gruppe, einer Gruppenmitgliedschaft oder eines Benutzers einem Konto Superuser-Status verleihen oder einer Gruppe eine bestehende Rolle zuweisen, ohne die Berechtigungen zu besitzen, die diese Privilegien absichern. Gruppenhierarchieprüfungen berücksichtigen nicht konsistent den von übergeordneten Gruppen geerbten Superuser-Status, und der Rollenzuweisung zu einer Gruppe fehlt die erforderliche Autorisierungsprüfung. Betroffen sind nur Bereitstellungen, die diese Verwaltungsfunktionen an Konten delegieren, die keine vollständigen Administratoren sind. Dieses Problem ist in den Versionen 2026.2.7, 2026.5.7 und 2026.8.2 behoben.

Quellen

• CVE-2026-94609PoC

  Write-up und Proof-of-Concept für CVE-2026-94609, eine Privilegieneskalations-Schwachstelle in authentik, die es Benutzern mit add_user_to_group ermöglicht, über die Groups-API Superuser-Gruppen beizutreten.